Ledger: имплант в кошельках CryptoBilis передавал сид-фразы по LTE

Аппаратный имплант, найденный в криптокошельке одного из пострадавших клиентов реселлера CryptoBilis, перехватывал фразу восстановления и передавал ее злоумышленникам через мобильную сеть LTE. Об этом говорится в обновлении Ledger по итогам анализа команды безопасности.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user’s signer. All confirmed fund losses tied to the incident disclosed on October 9th involve signers sold through CryptoBilis. We have not verified a drain linked to a signer bought elsewhere. CryptoBilis has confirmed it stopped selling Ledger signers while the investigation continues. Based on the Donjon’s analysis of the attack, the implant sits inside the enclosure and reads the data shown on the screen. During setup, the signer displays the 24-word recovery phrase. When the implant detects these screens, its microcontroller decodes the words and transmits them over LTE using a provisioned eSIM. The implant is a separate component. It does not modify the Secure Element or the Ledger operating system, and it does not alter transactions or signatures. The Donjon will analyze the signers it receives and will share more as the investigation continues. We have not confirmed the total number of affected users or the total value lost. Figures circulating online come from third parties and Ledger has not fully verified them. If your funds were drained and you have not contacted us, please do so through Ledger Support so we can include your case. We are also reviewing reports of implants in other signers and locations. We will continue to share information as the investigation progresses. Rest assured the Ledger team is going above and beyond to leave no stone unturned to investigate this situation to the strongest possible outcome. If you bought a Ledger signer from CryptoBilis and have not set it up, do not set it up and contact Ledger Support. If you have set it up, transfer your assets promptly to a new signer with a new recovery phrase. Do not enter or restore any recovery phrase on a signer bought from CryptoBilis. Never enter your recovery phrase into a website, app or form. If you lost funds or hold a tampered signer, contact Ledger Support at https://t.co/QzukOZdEzq and file a report with local law enforcement. Do not send the signer to anyone before speaking with Ledger Support or local law enforcement. If you lost funds, coordinate with law enforcement before opening the signer. Researchers and others with relevant information can write to security@ledger.com. If you did not buy from CryptoBilis and want to inspect the inside of your signer, the guide is at https://t.co/Bh9DHQulIv. Use caution and make sure your recovery phrase is backed up first, because opening a signer can damage it. Ledger will never call you, message you directly, or ask for your 24-word recovery phrase. We will update this post when we verify new information.

— Ledger (@Ledger) October 13, 2026

По данным исследователей, имплант представлял собой отдельный компонент, который находился внутри корпуса кошелька и считывал информацию с экрана. Во время первоначальной настройки устройство отображало 24 слова сид-фразы, необходимые для восстановления доступа к активам.

Когда он распознавал эти экраны, встроенный микроконтроллер декодировал слова. Затем данные уходили злоумышленникам по LTE через заранее подготовленную eSIM.

С сид-фразой атакующий мог восстановить кошелек на другом устройстве и вывести средства без физического доступа к оригиналу.

При этом модуль не изменял защищенный чип Secure Element и операционную систему Ledger, а также не влиял на транзакции и подписи, заявили разработчики. Ранее компания заявила, что ее инфраструктура, системы и сервисы не были скомпрометированы.

Ledger изучает сообщения о модифицированных устройствах за пределами Азии

Наличие импланта Ledger подтвердила 10 октября. Пока все подтвержденные случаи потери средств связаны с устройствами, проданными через CryptoBilis. Однако компания также изучает сообщения об имплантах в устройствах, купленных в других местах.

В частности, пользователь X под ником Johannes заявил, что нашел посторонние кабели и модули сотовой связи в двух устройствах. Он купил их в разных магазинах европейской сети MediaMarkt.

UPDATE: I can confirm that the Ledger supply chain is compromised in Europe as well. @Ledger should initiate an immediate product recall to protect users. I just purchased a second device from a different Mediamarkt location today, recorded the unboxing process, and discovered spyware once again (video linked in the second tweet). The device was compromised in the exact same manner, featuring identical modifications (such as additional cables and an LTE module). This indicates its a widespread issue rather than an isolated incident, potentially affecting Ledger inventory across MediaMarkt and Saturn stores throughout Europe (comprising over 1,000 stores across 11 countries). My initial hypothesis was that these devices were returns that looked unopened to the employees and were just sold again as new however, a MediaMarkt employee confirmed that the device I purchased was not a return, and that returned Ledgers are sent directly back to the manufacturer rather than resold. Store records show the inventory originated from Aqipa GmbH. While Ledger’s CTO was unsure if Aqipa serves as the direct distributor between Ledger and MediaMarkt, it appears to be the case. Given that Aqipa distributes across Europe, any physical retail store receiving stock through them may be at risk. I sent the first ledger to mark and the second one is going to ledger now, so that they can analyse it. If you purchased a ledger from anyone other than the official ledger store, make sure to check your device!!

— Johannes (4, 4) (@0xJohannes_) October 12, 2026

После этих сообщений MediaMarktSaturn убрала продукцию Ledger из физических магазинов и с онлайн-платформ.

В комментарии Cointelegraph представитель ретейлера сообщил, что группа поддерживает контакт с производителем и серьезно относится к инциденту.

13 октября бывший глава Mt. Gox Марк Карпелес подтвердил наличие шпионского импланта в Ledger Flex, купленном в аэропорту Сингапура. Устройство ему передал пользователь Бен Йорк, который заметил на кошельке подозрительные следы и не стал им пользоваться.

Ledger Flex sold at Singapore Airport confirmed to contain a spy implant! @BenYorke found suspicious marks on his @Ledger and sent it to me rather than using it, that was probably the best decision here. https://t.co/aP7gDEbvtq https://t.co/3VumJyBFD2 https://t.co/2NtXWIbJYs

— Mark Karpelès (@MagicalTux) October 13, 2026

Ledger в ответ сослалась на последний апдейт расследования и сингапурский случай отдельно не прокомментировала. Связь европейских устройств с атакой на клиентов CryptoBilis производитель также не подтвердил.

Ущерб и меры безопасности

По оценке аналитической компании Bitquery, злоумышленники вывели $93,2 млн из 315 криптокошельков в шести блокчейнах.

Исследователи YFarmX насчитали 530 пострадавших адресов с общим ущербом $103,4 млн.

Ledger не назвала число пострадавших и общую сумму ущерба. По словам компании, циркулирующие в сети оценки получены от третьих сторон, и она их полностью не проверила.

CryptoBilis приостановила продажи и отправку аппаратных кошельков всех брендов в Индонезии, Малайзии и на Филиппинах. Реселлер также временно закрыл физические магазины.

Производители Trezor и OneKey исключили компанию из своих партнерских сетей. В Trezor заявили, что не получали сообщений о модифицированных устройствах, проданных через CryptoBilis, и не нашли признаков того, что продукция компании затронута. В OneKey сообщили, что случаев потери средств у пользователей не зафиксировано.

OneKey также предложила бесплатно заменить кошельки, купленные у реселлера с 1 марта по 12 октября 2026 года. Заявки принимаются до 31 декабря.

Ledger призвала покупателей CryptoBilis не настраивать новые устройства, а тем, кто уже пользуется такими кошельками, — без промедления перевести активы на новое устройство с новой сид-фразой. Вводить или восстанавливать сид-фразу на кошельках от CryptoBilis нельзя.

Пострадавшим и владельцам модифицированных устройств компания посоветовала связаться со службой поддержки и подать заявление в правоохранительные органы. Отправлять устройство кому-либо до этого не рекомендуется, а вскрывать его можно только после согласования с полицией. Расследование продолжается.

Напомним, в июле исследователь Ledger Donjon Баптистен Буало раскрыл уязвимость в аппаратных кошельках Tangem. С помощью лазерной инъекции сбоев он сбросил пароль карты и получил доступ к активам.

Сама Tangem оценила риск для обычных пользователей как практически нулевой: для атаки нужны физический доступ к карте и оборудование стоимостью около $250 000.